Votre mot de passe, c'est un peu la clé de votre boutique. Le problème, c'est qu'une clé, ça se copie. Fuites de données, mots de passe réutilisés d'un site à l'autre, robots qui testent des milliers de combinaisons sans jamais se fatiguer : un mot de passe seul ne suffit plus à protéger l'administration d'un site WordPress.
La double authentification WordPress ajoute un second verrou. En plus de votre mot de passe, un code temporaire généré par votre téléphone vous est demandé à chaque connexion. Même si quelqu'un met la main sur votre mot de passe, il reste bloqué à la porte.
Rassurez-vous, la configuration prend quelques minutes et ne se fait qu'une seule fois. Ensuite, ça devient un réflexe, un peu comme sortir ses clés avant d'ouvrir chez soi. Dans ce guide pas à pas, je vous montre pas à pas comment l'activer avec Wordfence et l'application 2FAS Auth.
Pourquoi activer la double authentification WordPress ?
L'authentification à deux facteurs repose sur un principe simple : prouver qui vous êtes avec deux éléments différents.
- Ce que vous savez : votre mot de passe.
- Ce que vous possédez : votre téléphone, qui génère le code.
Le code affiché par l'application change toutes les 30 secondes environ. Il est calculé directement sur votre téléphone, sans même avoir besoin d'une connexion Internet. Un pirate qui aurait récupéré votre mot de passe ne peut donc rien en faire sans avoir votre téléphone en main. C'est l'une des protections les plus efficaces pour sécuriser WordPress, et franchement l'une des plus simples à mettre en place.
Activer la double authentification en 6 étapes
Étape 1 : connectez-vous à votre administration WordPress
Connectez-vous avec votre compte administrateur habituel, comme d'habitude.
Si c'est votre prestataire qui a rendu la double authentification obligatoire sur votre site, il a pu prévoir un délai de grâce. Pendant quelques jours, vous pouvez encore vous connecter sans code, le temps de faire la configuration. Profitez-en, mais ne traînez pas trop : une fois ce délai écoulé, vous risquez de ne plus pouvoir entrer sans son aide.
Étape 2 : ouvrez les réglages de sécurité de Wordfence
Dans le menu de gauche, suivez ce chemin : Wordfence > Sécurité de connexion, puis cliquez sur l'onglet 2FA.
Vous arrivez sur une page qui affiche un QR code (ce petit carré noir et blanc pixelisé) et un champ pour saisir un code. Gardez cette page ouverte, on y revient dans un instant.
Étape 3 : installez l'application 2FAS Auth
Sur votre téléphone, installez 2FAS Auth depuis l'App Store sur iPhone ou le Google Play Store sur Android (L'application est gratuite).
Son rôle : générer des codes à six chiffres, renouvelés automatiquement toutes les 30 secondes environ. Ces codes ne remplacent pas votre mot de passe WordPress que vous devrez ajouter au moment de votre connexion , ils s'y ajoutent.
Étape 4 : associez votre téléphone à WordPress
- Ouvrez l'application 2FAS Auth.
- Appuyez sur le bouton pour ajouter un nouveau compte.
- Scannez avec votre téléphone le QR code affiché dans Wordfence.
- Vérifiez que votre site WordPress apparaît bien dans la liste de l'application.
- Repérez le code à six chiffres affiché sous le nom de votre site.
- Saisissez ce code dans le champ prévu à cet effet, à côté du QR code dans Wordfence.
- Cliquez sur Activer.
Le code est refusé ? Pas de panique, il a sans doute expiré entre le moment où vous l'avez lu et celui où vous l'avez saisi. Attendez le suivant et recommencez.
Étape 5 : téléchargez vos codes de récupération
C'est l'étape à ne surtout pas sauter. Une fois la double authentification activée, Wordfence vous propose des codes de récupération. Chacun ne fonctionne qu'une seule fois et vous permet de vous connecter sans votre téléphone.
Ils vous sauveront la mise si vous perdez votre téléphone, s'il tombe en panne ou si vous en changez. Téléchargez-les et rangez-les dans un endroit sûr, ailleurs que sur ce même téléphone : un gestionnaire de mots de passe, une clé USB, ou tout simplement imprimés et rangés dans un tiroir.
Étape 6 : connectez-vous avec la double authentification
À vos prochaines connexions, voici comment ça se passe :
- Saisissez votre identifiant et votre mot de passe, comme d'habitude.
- Ouvrez 2FAS Auth sur votre téléphone.
- Repérez le code à six chiffres de votre site.
- Saisissez-le dans le champ demandé par WordPress.
Et c'est tout. Aucune nouvelle configuration, juste une dizaine de secondes de plus à chaque connexion.
Que faire si je perds mon téléphone ?
Ça arrive, et ce n'est pas un drame si vous avez suivi l'étape 5. Voici les solutions, dans l'ordre :
- Utilisez un code de récupération Wordfence. Saisissez-le à la place du code à six chiffres, puis reconfigurez la double authentification avec votre nouveau téléphone.
- Restaurez 2FAS Auth. Si vous aviez activé la sauvegarde de l'application, vos comptes peuvent être récupérés sur votre nouveau téléphone.
- Contactez votre prestataire WordPress. Il peut réinitialiser la double authentification de votre compte.
En dernier recours : désactiver Wordfence par FTP
Si aucune de ces solutions n'est possible, il reste une manipulation plus technique. Elle n'est pas anodine : pendant l'opération, toutes les protections de Wordfence sont coupées, pas seulement la double authentification.
- Connectez-vous à votre serveur avec un logiciel FTP comme FileZilla ou Cyberduck.
- Ouvrez le dossier wp-content/plugins.
- Renommez le dossier wordfence, par exemple en wordfence-off.
- Connectez-vous à WordPress avec votre seul mot de passe.
- Redonnez au dossier son nom d'origine, réactivez Wordfence dans le menu Extensions, puis reconfigurez la double authentification sans attendre.
Pas à l'aise avec le FTP ? Laissez faire votre prestataire. Mieux vaut patienter quelques heures que laisser votre site sans protection.
La double authentification, une habitude qui apporte un bon niveau de sécurité.
Quelques minutes de configuration, dix secondes de plus par connexion, et un site nettement mieux protégé. Activer la double authentification WordPress fait partie des gestes de base pour sécuriser WordPress, au même titre que les mises à jour et les sauvegardes.
Une question, un blocage en cours de route ?
Écrivez-moi, je vous aide volontiers. Et si vous voulez aller plus loin, faites appel au Chêne Digital pour sécuriser votre site. C'est devenu un vrai sujet : avec l'intelligence artificielle, les attaques automatisées sont plus nombreuses, plus rapides et plus crédibles qu'avant, je peux vous l'assurer, moi qui suis en contact avec plusieurs dizaines de sites en maintenance.
Un site bien protégé, ça ne s'improvise plus.
